2. DuplexSpy RAT的能力與特徵

DuplexSpy RAT旨在為攻擊者提供對受損Windows機器的全面控制，促進廣泛的惡意操作。其核心能力包括：

• 鍵盤記錄（Keylogging）： 此功能允許惡意軟體捕捉使用者的所有鍵擊，從而竊取敏感資訊，如登入認證、個人通訊和機密文件。這是許多間諜攻擊和資料竊取操作的基礎。
• 螢幕擷取（Screen Capture）： DuplexSpy可定期擷取受害者桌面的螢幕截圖。此功能對於視覺監視至關重要，允許攻擊者監控使用者攻擊、存取螢幕上顯示的資料，並繞過某些安全措施，例如顯示在螢幕上的雙因素認證。
• 攝影機與音訊監視（Webcam and Audio Spying）： 該惡意軟體可秘密啟動受損系統的攝影機和麥克風，實現即時的視訊和音訊監視。此功能將資料竊取範圍從數位檔案擴展到實體環境，可能收集敏感對話或限制區域的情報。
• 遠端Shell存取（Remote Shell Access）： 這是系統完全滲透的關鍵功能，遠端shell存取使攻擊者能夠在受害者機器上執行任意命令。這包括檔案操作（上傳、下載、刪除）、程序管理（啟動、停止）和系統設定更改，實際上為攻擊者提供受損系統的管理控制權。此命令與控制（C2）通道是指導RAT攻擊和在網路中進行橫向移動的主要機制。
• 檔案竊取（File Exfiltration）： 除了監視外，DuplexSpy RAT能夠系統性地搜尋並竊取受害系統中的特定檔案。這種針對性資料竊取是國家級攻擊者和網路犯罪分子尋求知識產權、財務資料或機密資訊的常見目標。

文章強調該惡意軟體的「易於客製化」 [1] ，表明其模組化架構允許攻擊者根據特定目標或目的進行功能調整。這種適應性使DuplexSpy成為攻擊者武器庫中的多功能工具，能夠進化以對抗檢測機制或利用新漏洞。

3. 技術機制與操作

DuplexSpy RAT的隱形和有效性源於其複雜的技術機制。

• 加密通訊（Encryption for Secure Communications）： DuplexSpy採用強大的加密協議，特別是 AES（進階加密標準） 和 RSA（Rivest–Shamir–Adleman） ，用於其命令與控制（C2）通訊 [1] 。AES用於受害主機與C2伺服器之間傳輸的大量資料的對稱加密，確保竊取資料和命令的機密性和完整性。RSA作為非對稱加密演算法，可能用於金鑰交換或數位簽章，提供建立初始加密通道和驗證通訊的安全方法。這種多層次加密使網路防禦者難以攔截、解密和分析惡意軟體的流量，大幅提升其隱形性。
• DLL注入以進行記憶體內Payload執行（DLL Injection for In-Memory Payload Execution）： DuplexSpy RAT用於規避和持續性的關鍵技術是 DLL注入 [1] 。此方法涉及將惡意動態連結庫（DLL）注入到受害者系統上合法運行程序的位址空間中。通過在受信任程序的環境中操作，惡意軟體可以規避傳統終端安全解決方案的檢測，這些方案通常監控可疑的新程序或獨立可執行檔。Payload因此存在於「記憶體內」，使取證分析更具挑戰性，因為它在磁碟上留下的痕跡較少。此技術使DuplexSpy能夠執行其惡意功能，而不產生易於識別的Artifact，顯著提升其隱形性。

4. 分析方法與入侵指標（IOCs）

DuplexSpy RAT的分析通常結合靜態和動態方法。

• 靜態分析（Static Analysis）： 這涉及在不執行惡意軟體的情況下檢查其程式碼。技術包括反組譯二進位檔案，分析其導入和導出函數、字串分析以識別C2域名或加密金鑰，以及檢查其PE（可攜式可執行）標頭。靜態分析有助於理解惡意軟體的結構、潛在功能和識別初始入侵指標（IOCs）。
• 動態分析（Dynamic Analysis）： 這涉及在受控的隔離環境（例如沙箱或虛擬機器）中執行惡意軟體，以觀察其運行時行為。這包括監控網路連線、檔案系統變更、登錄檔修改、程序建立和API呼叫。動態分析對於理解惡意軟體的全部功能、其C2通訊模式及其與作業系統的互動至關重要。

與DuplexSpy RAT相關的入侵指標（IOCs），從這些分析中得出，通常包括：

• 檔案雜湊（File Hashes）： 惡意可執行檔案及其相關元件的唯一加密雜湊（例如MD5、SHA256）。
• 網路Artifact： C2伺服器IP位址、域名和用於通訊的特定端口。
• 主機Artifact： 為持續性創建或修改的登錄檔鍵、特定檔案路徑或異常程序行為。

這些IOCs對於安全團隊檢測和阻止網路內的DuplexSpy感染至關重要。

5. MITRE ATT&CK框架對應

將DuplexSpy RAT的能力對應到MITRE ATT&CK框架，提供了一種標準化的方式來理解其攻擊策略和技術。雖然提供的摘要未詳細說明具體對應，但根據其能力，DuplexSpy可能涉及以下幾個ATT&CK策略的技術：

• 初始存取（TA0001）： 通常通過魚叉式網路釣魚附件或受損的合法軟體。
• 執行（TA0002）： 技術如DLL注入（T1055）是關鍵。
• 持續性（TA0003）： 修改登錄檔鍵或啟動資料夾以維持存取。
• 防禦規避（TA0005）： DLL注入（T1055）、混淆和C2通訊的加密（T1022）。
• 認證存取（TA0006）： 通過鍵盤記錄（T1056.001）。
• 發現（TA0007）： 識別系統資訊、網路設定。
• 收集（TA0009）： 螢幕擷取（T1113）、音訊擷取（T1123）、視訊擷取（T1125）和本機系統資料（T1005）。
• 命令與控制（TA0011）： 加密C2通道。
• 資料外洩（TA0010）： 通過其C2通道外洩收集的資料。

理解這些對應有助於組織制定更有效的檢測和應對策略，以應對像DuplexSpy這樣的RAT所構成的特定威脅。

6. 緩解與對策

緩解與DuplexSpy RAT相關的風險需要多層次的主動防禦策略。關鍵建議包括：

• 主動檢測： 部署進階終端檢測與回應（EDR）解決方案，能夠識別指示RAT攻擊的可疑行為，而非僅依賴基於特徵碼的檢測。行為分析和機器學習對隱形惡意軟體特別有效。
• 使用者意識培訓： 教育使用者了解網路釣魚、疑似連結以及驗證軟體來源的重要性，可顯著減少初始感染途徑。
• 多層防禦： 部署防火牆、入侵防禦系統（IPS）、反惡意軟體和電子郵件安全網關的組合，建立多重防護屏障，防止感染和妥協。
• 定期修補與更新： 確保作業系統、應用程式和安全軟體定期更新，以修補DuplexSpy或其他類似惡意軟體可能利用的已知漏洞。
• 網路分段： 分段網路以限制惡意軟體在發生違規時的橫向移動。
• 最小權限原則： 僅授予使用者和應用程式執行其功能所需的最低權限，從而限制系統受損時的潛在損害。

7. 結論

DuplexSpy RAT是一種強大的威脅，其特點是隱形、全面的遠端控制能力和適應性。其使用進階加密和DLL注入技術，凸顯了強大且適應性強的網路安全防禦的必要性。通過了解其主要特徵並採取主動的緩解策略，組織可以更好地防禦此類及類似的進階持續性威脅。持續研究和分享威脅情報在對抗不斷演變的惡意軟體的戰鬥中至關重要。

參考資料

1. DuplexSpy RAT: Stealthy Windows Malware Enabling Full Remote Control and Surveillance